sentinel, Lab
场景 1 — 阶段一：漏洞资产关联与信息采集
漏洞发现渠道
| 渠道 | 说明 |
|---|---|
| 主动扫描 | Nessus/Qualys/OpenVAS，每周/每日自动化扫描 |
| 被动检测 | WAF/IDS/EDR 检测，运行时漏洞发现 (RASP) |
| SBOM 依赖分析 | SCA 工具扫描第三方组件，开源漏洞匹配 (OWASP DC) |
| 威胁情报 | CNVD/CNNVD/NVD 通报，厂商安全公告 |
| 渗透测试 | 红队/蓝队发现，攻防演练暴露 |
漏洞-资产关联
每条漏洞关联到具体资产 + 责任人 + 业务系统：
- 漏洞 ↔ 资产：CVE 绑定具体 IP/主机/应用
- 资产 ↔ 责任人：CMDB 自动关联运维/开发负责人
- 资产 ↔ 业务：标注所属业务系统和等级
多维信息采集清单
| 维度 | 采集内容 |
|---|---|
| 漏洞技术特征 | CVE ID / CVSS / 漏洞类型 / 攻击向量 / 影响组件版本 / 补丁可用性 |
| 资产属性信息 | 资产价值等级 / 互联网暴露 / 操作系统 / 中间件 / 承载业务 |
| 威胁情报关联 | 在野利用状态 / PoC 可用性 / EPSS 评分 / APT 组织利用情况 |
| 环境防护信息 | WAF/IPS/EDR 防护状态 / 网络隔离 / 补偿控制有效性 |
资产价值分级
| 等级 | 权重 | 说明 |
|---|---|---|
| P0 · 核心资产 | 10 | 核心数据库/支付系统/域控/VPN，互联网直接暴露的关键服务 |
| P1 · 重要资产 | 7 | 业务应用服务器/邮件系统，代码仓库/开发测试环境 |
| P2 · 一般资产 | 4 | 内部 OA/文件服务器，非核心业务系统 |
| P3 · 低值资产 | 1 | 测试/开发环境，无敏感数据的内部系统 |
信息富化示例
| 字段 | 数据源 | 示例 |
|---|---|---|
| 资产等级 | CMDB | P0-核心 |
| 暴露面 | 资产测绘 | 互联网暴露 |
| EPSS | FIRST | 0.87 (87%) |
| 在野利用 | CISA KEV | 已确认 |
| PoC 状态 | GitHub/情报 | 公开可用 |
| WAF 防护 | WAF | 已部署规则 |